Microsoft 安全公告 MS10-016 - 重要

缓解是指一种设置、通用配置或者一般的最佳实践，它以默认状态存在，能够降低利用漏洞的严重性。 以下缓解因素在您遇到的情形中可能会有所帮助：

• 在基于 Web 的攻击情形中，攻击者可能拥有一个网站，并在上面放置用来利用此漏洞的网页。 另外，接受或宿主用户提供的内容或广告的网站以及受到破坏的网站可能包含可能利用此漏洞的特制内容。 但是在所有情况下，攻击者无法强制用户访问这些网站。 相反，攻击者必须说服用户访问该网站，方法通常是让用户单击电子邮件或 Instant Messenger 消息中的链接以使用户链接到攻击者的网站。
• 特制文件可作为电子邮件附件发送，但攻击者必须说服用户打开附件以利用此漏洞。
• 成功利用此漏洞的攻击者可以获得与本地用户相同的用户权限。 那些帐户被配置为拥有较少系统用户权限的用户比具有管理用户权限的用户受到的影响要小。

变通办法是指一种设置或配置更改，它不能从根本上纠正漏洞，但有助于在应用更新之前封堵已知的攻击源。 Microsoft 已测试了以下变通方法，并在讨论中指明了变通方法是否会降低功能性：

• 删除 Movie Maker .MSWMM 文件关联

  警告 如果不正确地使用注册表编辑器，可能导致严重的问题，或许需要您重新安装操作系统。 Microsoft 不保证您可以解决因错误运用注册表编辑器而产生的问题。 使用注册表编辑器的风险由您自己承担。 有关如何编辑注册表的信息，请查看注册表编辑器 (Regedit.exe) 中的“更改项和值”帮助主题，或查看 Regedt32.exe 中的“在注册表中添加和删除信息”和“编辑注册表数据”帮助主题。

  注意 我们建议在编辑注册表之前先对其进行备份。

  要删除 Movie Maker .MSWMM 文件关联，请执行下列步骤：

  交互方法

  1. 单击“开始”，单击“运行”，键入 regedit，然后单击“确定”。
  2. 展开 HKEY_CLASSES_ROOT，单击“.MSWMM”，然后单击“文件”菜单并选择“导出”。
  3. 在“导出注册表文件”对话框中，键入 MSWMM file association registry backup.reg，然后单击“保存”。 默认情况下，此操作将在“我的文档”文件夹中创建此注册表项的备份。
  4. 按键盘上的“Delete”键删除该注册表项。 当系统提示您删除注册表值时，请单击“是”。

  被管理的部署脚本

  1. 使用下列命令创建注册表项副本：
     
     Regedit.exe /e MSWMM_registry_backup.reg HKEY_CLASSES_ROOT\.MSWMM
  2. 将下列内容保存到扩展名为 .REG 的文件，例如 Delete_MSWMM_file_association.reg：
     
     Windows Registry Editor Version 5.00

[-HKEY_CLASSES_ROOT\.MSWMM]
  3. 在目标计算机上，使用下列命令运行在步骤 2 中创建的注册表脚本：
     
     Regedit.exe /s Delete_MSWMM_file_association.reg

  变通办法的影响。 此变通办法将删除 .MSWMM 文件关联。 双击 MSWMM 文件不会再启动 Windows Movie Maker。

  如何撤消变通方法。 使用 Regedit 还原 .REG 文件中保存的设置，从而还原注册表项。

• 删除 Microsoft Producer 2003 .MSProducer、.MSProducerZ 和 .MSProducerBF 文件关联

  注意 要使用自动化 Microsoft Fix it 解决方案来启用或禁用此变通办法，请参阅 Microsoft 知识库文章 975561。

  警告 如果不正确地使用注册表编辑器，可能导致严重的问题，或许需要您重新安装操作系统。 Microsoft 不保证您可以解决因错误运用注册表编辑器而产生的问题。 使用注册表编辑器的风险由您自己承担。 有关如何编辑注册表的信息，请查看注册表编辑器 (Regedit.exe) 中的“更改项和值”帮助主题，或查看 Regedt32.exe 中的“在注册表中添加和删除信息”和“编辑注册表数据”帮助主题。

  注意 我们建议在编辑注册表之前先对其进行备份。

  要删除 .MSProducer、.MSProducerZ 和 .MSProducerBF 文件关联，请执行下列步骤：

  交互方法

  1. 单击“开始”，单击“运行”，键入 regedit，然后单击“确定”。
  2. 展开 HKEY_CLASSES_ROOT，单击“.MSProducer”，然后单击“文件”菜单并选择“导出”。
  3. 在“导出注册表文件”对话框中，键入 MSProducerHKCR file association registry backup.reg，然后单击“保存”。 默认情况下，此操作将在“我的文档”文件夹中创建此注册表项的备份。
  4. 按键盘上的“Delete”键删除该注册表项。 当系统提示您删除注册表值时，请单击“是”。
  5. 对 .MSProducerZ 和 .MSProducerBF 文件关联重复步骤 2-4。
  6. 依次展开 HKEY_CURRENT_USER、Software、Microsoft、Windows、CurrentVersion、Explorer 和 FileExts。
  7. 依次单击“.MSProducer”、“文件”和“导出”。
  8. 在“导出注册表文件”对话框中，键入 MSProducer HKCU file association registry backup.reg，然后单击“保存”。 默认情况下，此操作将在“我的文档”文件夹中创建此注册表项的备份。
  9. 按键盘上的“Delete”键删除该注册表项。 当系统提示您删除注册表值时，请单击“是”。
  10. 对 .MSProducerZ 和 .MSProducerBF 文件关联重复步骤 6-9。

  被管理的部署脚本

  1. 使用下列命令创建注册表项副本：
     
     Regedit.exe /e MSProducer_HKCR_registry_backup.reg HKEY_CLASSES_ROOT\.MSProducer

Regedit.exe /e MSProducerZ_HKCR_registry_backup.reg HKEY_CLASSES_ROOT\.MSProducerZ

Regedit.exe /e MSProducerBF_HKCR_registry_backup.reg HKEY_CLASSES_ROOT\.MSProducerBF

Regedit.exe /e MSProducer_HKCU_registry_backup.reg HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.MSProducer

Regedit.exe /e MSProducerZ_HKCU_registry_backup.reg HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.MSProducerZ

Regedit.exe /e MSProducerBF_HKCU_registry_backup.reg HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.MSProducerBF
  2. 将下列内容保存到扩展名为 .REG 的文件，例如 Delete_MSProducer_file_associations.reg：
     
     Windows Registry Editor Version 5.00

[-HKEY_CLASSES_ROOT\.MSProducer]

[-HKEY_CLASSES_ROOT\.MSProducerZ]

[-HKEY_CLASSES_ROOT\.MSProducerBF]

[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.MSProducer]

[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.MSProducerZ]

[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.MSProducerBF]
  3. 在目标计算机上，使用下列命令运行在步骤 2 中创建的注册表脚本：
     
     Regedit.exe /s Delete_MSProducer_file_associations.reg

  变通办法的影响。 此变通办法会删除 .MSProducer、.MSProducerZ 和 .MSProducerBF 文件关联。 双击 Microsoft Producer 2003 文件不会再启动 Microsoft Producer 2003。

  如何撤消变通方法。 使用 Regedit 还原 .REG 文件中保存的设置，从而还原注册表项。

• 通过限制访问禁用 Microsoft Producer 2003

  管理员可以向 Microsoft Producer 应用访问控制列表以确保不再加载加载项。 这样做可有效地防止借助此攻击媒介利用该漏洞。

  Windows XP（用于 32 位系统）

  通过命令提示符运行以下命令：

  cacls "%programfiles%\microsoft producer 2\producer.exe" /E /P everyone:N

  Windows XP（用于基于 x64 的系统）

  通过命令提示符运行以下命令：

  cacls "%programfiles(x86)%\microsoft producer 2\producer.exe" /E /P everyone:N

  变通办法的影响。实施此变通办法后，用户不能够再运行 Microsoft Producer 2003。

  如何撤消变通方法。 管理员可以运行下列命令以允许加载 Microsoft Producer 2003。

  Windows XP（用于 32 位系统）

  通过命令提示符运行以下命令：

  cacls "%programfiles%\microsoft producer 2\producer.exe" /E /R everyone

  Windows XP（用于基于 x64 的系统）

  通过命令提示符运行以下命令：

  cacls "%programfiles(x86)%\microsoft producer 2\producer.exe" /E /R everyone

• 阻止 Microsoft Producer 2003 安装

  管理员可以向 Microsoft Producer 2003 应用访问控制列表以确保不能安装 Microsoft Producer 2003 加载项。 这样做可有效地防止借助此攻击媒介利用该漏洞。

  Windows XP（用于 32 位系统）

  从命令提示符运行以下命令：

  md "%programfiles%\microsoft producer 2"

echo Placeholder > "%programfiles%\microsoft producer 2\producer.exe"

cacls "%programfiles%\microsoft producer 2\producer.exe" /E /P everyone:N

  Windows XP（用于基于 x64 的系统）

  从命令提示符运行以下命令：

  md "%programfiles(x86)%\microsoft producer 2"

echo Placeholder > "%programfiles(x86)%\microsoft producer 2\producer.exe"

cacls "%programfiles(x86)%\microsoft producer 2\producer.exe" /E /P everyone:N

  变通办法的影响。 实施此变通办法后，用户不能够再安装 Microsoft Producer 2003 加载项。

  如何撤消变通方法。 管理员可以运行下列命令以允许安装 Microsoft Producer 2003。

  Windows XP（用于 32 位系统）

  从命令提示符运行以下命令：

  cacls "%programfiles%\microsoft producer 2\producer.exe" /E /R everyone

echo y| del "%programfiles%\microsoft producer 2\producer.exe"

  Windows XP（用于基于 x64 的系统）

  从命令提示符运行以下命令：

  cacls "%programfiles(x86)%\microsoft producer 2\producer.exe" /E /R everyone

echo y| del "%programfiles(x86)%\microsoft producer 2\producer.exe"

• 卸载 Microsoft Producer 2003

  使用“添加/删除程序”卸载 Microsoft Producer 2003。

  变通办法的影响。 实施此变通办法后，用户不能够再运行 Microsoft Producer 2003。

此漏洞的影响范围有多大？  
这是一个远程执行代码漏洞。 成功利用此漏洞的攻击者可以完全远程控制受影响的系统。 攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。

造成漏洞的原因是什么？  
Windows Movie Maker 和 Microsoft Producer 2003 分析项目文件格式的方式中存在漏洞。 此漏洞要求恶意用户发送特制的 Movie Maker 或 Producer 文件，并诱使用户打开特制文件。

攻击者可能利用此漏洞执行什么操作？  
成功利用此漏洞的攻击者可能以登录用户的身份运行任意代码。 如果用户使用管理用户权限登录，攻击者便可完全控制受影响的系统。 攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。 那些帐户被配置为拥有较少系统用户权限的用户比具有管理用户权限的用户受到的影响要小。

在电子邮件攻击情形中，攻击者可以通过向用户发送特制的 Movie Maker 或 Producer 项目文件并说服用户打开该文件来利用此漏洞。

在基于 Web 的攻击情形中，攻击者必须拥有一个网站，其中包含用来试图利用此漏洞的特制 Movie Maker 或 Producer 项目文件。 另外，接受或宿主用户提供的内容的网站以及受到破坏的网站可能包含可能利用此漏洞的特制内容。 攻击者无法强迫用户访问特制的网站。 相反，攻击者必须说服他们访问该网站，通常是让其单击指向攻击者网站的链接，然后诱使他们打开特制的 Movie Maker 或 Producer 项目文件。

攻击者如何利用此漏洞？  
利用此漏洞要求用户使用受影响的 Windows Movie Maker 或 Microsoft Producer 版本打开特制的 Movie Maker 或 Producer 项目文件。

受此漏洞威胁最大的系统有哪些？  
使用了 Windows Movie Maker 的 Windows 系统或者使用了 Microsoft Producer 2003 的系统受到的威胁最大。

此更新有什么作用？  
Movie Maker 的更新通过更改 Windows Movie Maker 分析 Windows Movie Maker 项目文件的方式解决该漏洞。 Microsoft Producer 2003 的下载将安装的 Microsoft Producer 2003 升级到新版本 Microsoft Producer。

发布此安全公告时，此漏洞是否已公开披露？  
否。 Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。

在发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？  
否。 在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已公开用于攻击用户的信息。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。

注意 此安全更新不适用于 Windows Server 2003 x64 Edition，因为该操作系统上不能安装 Windows Movie Maker。

参考表

下表包含此软件的安全更新信息。 您可以在本节的“部署信息”小节中找到更多信息。